Stručne: Kryptominer na serveri sa zvyčajne prejaví trvalo vysokou záťažou CPU bez zjavného dôvodu, cudzími procesmi, často pod používateľom webového servera, a odchádzajúcimi spojeniami na neznáme ciele. Proces neukončujte unáhlene: najprv zabezpečte stopy, nájdite mechanizmy, ktoré ho znovu spúšťajú, a uzavrite vstupnú bránu. Miner znamená, že niekto mohol na vašom serveri vykonávať kód.
Keď je prvým varovaním účet od poskytovateľa cloudu
Kryptominer často nevyniká bezpečnostným poplachom, ale mimochodom. Web spomalí, poskytovateľ hostingu hlási prekročenie výpočtového času, ventilátor vo vlastnom dátovom centre beží neustále alebo faktúra od poskytovateľa cloudu rastie bez nových projektov. Pre útočníkov je miner jednoduchou cestou, ako z kompromitovaného servera urobiť peniaze.
Ťaženie znamená využívať výpočtový výkon cudzieho systému na tvorbu kryptomeny. Škoda sa zdá prehľadná, pretože sa nešifrujú žiadne dáta. To klame: kto môže spustiť miner, môže aj čítať prístupové údaje, kopírovať databázy a vytvárať ďalšie zadné vrátka.
Po PHP2Shell sa kontrola obzvlášť oplatí. Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 umožňujú vykonať škodlivý kód bez prihlásenia. Potvrdené indikátory kompromitácie (Indicators of Compromise) neexistujú a miner nie je špecifickým znakom týchto zraniteľností. Vysoká záťaž neznámymi procesmi však patrí medzi všeobecné príznaky opísané v časti Som už kompromitovaný?.
Príznaky kryptominera správne vyložiť
Vysoká záťaž má mnoho neškodných príčin. Tabuľka pomáha pri prvom zaradení:
| Pozorovanie | Možné neškodné vysvetlenie | Čo skontrolujete |
|---|---|---|
| CPU trvalo blízko plného vyťaženia | záloha, spracovanie obrázkov, budovanie indexu | Beží záťaž rovnomerne aj v noci a cez víkend? |
| Proces s názvom ako systémová služba | zriedka | Leží súbor programu v očakávanej systémovej ceste? |
Proces pod www-data, apache alebo nginx, ktorý nie je PHP |
sotva | Kto ho spustil, z ktorého priečinka? |
Program v /tmp, /var/tmp alebo /dev/shm |
sotva | Odkedy súbor existuje, komu patrí? |
| Trvalé odchádzajúce spojenie na neznámy cieľ | monitoring, aktualizácie | Patrí cieľ k známej službe? |
| Záťaž klesne, len čo sa prihlásite | zriedka | Niektoré škodlivé programy sa pozastavia, keď bežia nástroje na sledovanie |
Čím viac riadkov platí, tým pravdepodobnejší je nález. To, že používateľ webového servera vôbec spúšťa cudzie programy, je samo osebe silný varovný signál, ako ukazuje článok Webový server spúšťa shell.
Ako skontrolovať procesy a spojenia
Nasledujúce príkazy len čítajú. Poznačte si výsledok a čas skôr, než čokoľvek zmeníte:
# Procesy podľa spotreby CPU, s používateľom, časom spustenia a úplným príkazom
ps -eo pid,ppid,user,lstart,%cpu,%mem,args --sort=-%cpu | head -20
# Súbor programu a pracovný adresár podozrivého procesu (dosadiť PID)
sudo ls -l /proc/PID/exe /proc/PID/cwd
# Odchádzajúce spojenia s procesom
sudo ss -tnp state established
# Spustiteľné súbory v dočasných priečinkoch
sudo find /tmp /var/tmp /dev/shm -type f -perm -u+x -ls 2>/dev/null
Ak /proc/PID/exe ukazuje na súbor s dodatkom (deleted), program bol po spustení zmazaný. To je typický pokus o maskovanie. Proces beží ďalej a kým beží, dá sa súbor programu ešte zabezpečiť cez /proc. To by mal prevziať niekto, kto vie narábať so škodlivým softvérom; súbor nikdy nespúšťajte.
Ako systematicky prejsť procesy aj mimo mineru, opisuje Hľadanie podozrivých procesov na serveroch s Linuxom.
Prečo sa miner stále vracia
Mnohí prevádzkovatelia proces ukončia, tešia sa z klesajúcej záťaže a nasledujúci deň zistia, že všetko začína odznova. Minery sa takmer vždy inštalujú s mechanizmom opätovného spúšťania. Typické miesta sú:
- Cronjoby používateľa webového servera alebo systémové, ktoré každých pár minút kontrolujú, či miner beží, a inak ho doťahujú.
- Systémové služby s nenápadnými názvami, ktoré sa spúšťajú pri štarte.
- Webshell vo webovom adresári, cez ktorý útočník miner kedykoľvek znovu spustí.
- Zmenené štartovacie skripty alebo profilové súbory používateľov.
- Cudzie kľúče SSH, s ktorými sa útočník priamo znovu prihlási.
# Cronjoby používateľa webového servera a systémové záznamy
sudo crontab -u www-data -l
ls -la /etc/cron.d /etc/cron.hourly /var/spool/cron 2>/dev/null
# Naposledy zmenené jednotky systemd
sudo find /etc/systemd/system /lib/systemd/system -name '*.service' -newermt "2026-10-17" -ls
Až keď sú nájdené všetky mechanizmy, ostane server trvalo pokojný. Ak mal útočník práva root, je nové nasadenie na čistom systéme zvyčajne spoľahlivejšie než hľadanie každého úkrytu.
Správne poradie po náleze
Miner pôsobí ako technická nepríjemnosť, ale je to bezpečnostný incident. Postupujte preto usporiadane:
- Zabezpečiť: Zoznam procesov, spojenia, podozrivé súbory a logy skopírovať s kontrolným súčtom skôr, než sa niečo ukončí.
- Izolovať: Server izolovať alebo zablokovať odchádzajúce spojenia, ak je to možné bez straty dát.
- Uzavrieť príčinu: Priviesť PHP na opravený stav (8.5.12, 8.4.27, 8.3.36, 8.2.35 alebo potvrdený backport), reštartovať všetkých workerov, aktualizovať CMS a rozšírenia.
- Vyčistiť alebo nasadiť nanovo: Odstrániť miner, mechanizmy opätovného spúšťania a zadné vrátka, v pochybnostiach nasadiť nanovo.
- Skontrolovať následky: Mohli sa čítať prístupové údaje alebo osobné údaje? Potom objasniť ochranu údajov a prípadne oznamovacie povinnosti.
Zapojte včas svojho poskytovateľa hostingu alebo cloudu. Mnohí poskytovatelia preventívne blokujú servery s nápadnou záťažou alebo nápadnou sieťovou prevádzkou. Kto poskytovateľa informuje sám a postup si dohodne, má väčšiu šancu udržať kontrolu nad časom vypnutia. Opýtajte sa pritom aj na sieťové a prístupové protokoly poskytovateľa, pretože sú mimo vášho servera a útočník ich ťažko zmení.
Pre vedenie firmy je dôležité krátke, úprimné zaradenie: miner sám stojí predovšetkým výpočtový čas a výkon. Skutočná otázka však znie, čo ešte útočník videl. Kým sa to nevyjasní, incident by sa nemal považovať za vybavený, aj keď je záťaž opäť normálna.
Kryptominer ukazuje, že sa na vašom serveri vykonal kód. Všetky prístupové údaje, ktoré boli na serveri, považujte za možno uniknuté a po vyčistení ich obnovte.
Ako konkrétne pomáha PHP SOS?
- Zaradíme záťaž a rozlíšime medzi neškodnými príčinami a cudzími procesmi.
- Zabezpečíme procesy, súbory a spojenia skôr, než sa miner ukončí.
- Hľadáme všetky mechanizmy opätovného spúšťania a zadné vrátka a server vyčistíme v rámci odstránenia malvéru alebo ho nasadíme nanovo.
- Uzavrieme vstupnú bránu, obnovíme prístupy a nastavíme sledovanie záťaže, ktoré včas hlási neobvyklé vzorce.
Časté otázky
Ako spoznám kryptominer na svojom serveri?
Typická je trvalo vysoká záťaž CPU, ktorá nezodpovedá počtu návštevníkov ani plánovaným úlohám. K tomu pristupujú procesy s neznámymi alebo neškodne znejúcimi názvami, často pod používateľom webového servera, a odchádzajúce spojenia na cudzie adresy. Jednotlivý znak ešte nie je dôkaz.
Stačí proces ťaženia ukončiť?
Nie. Minery sa spravidla znovu a znovu spúšťajú cez cronjoby, systémové služby alebo webshell. Kto proces len ukončí, často ho po krátkom čase vidí znovu. Navyše ostáva otvorená vstupná brána, cez ktorú sa miner na server dostal.
Je kryptominer neškodný, keď len kradne výpočtový výkon?
Nie. Kto mohol nainštalovať miner, mohol na serveri vykonávať kód. Tým boli spravidla dosiahnuteľné aj konfiguračné súbory, prístupové údaje a databázy. Miner je viditeľný príznak vlámania.
Aké neškodné príčiny má vysoká záťaž servera?
Zálohy, spracovanie obrázkov, budovanie vyhľadávacieho indexu, agresívne crawlery alebo chybné rozšírenie môžu tiež spotrebovať veľa výpočtového času. Tieto príčiny sa spravidla dajú priradiť k známemu procesu a plánu. Ak záťaž ostáva bez vysvetlenia, mali by ste kontrolovať dôkladnejšie.